启程：深夜服务器的红灯 / Setting Off: The Red Light at Midnight

第 1 章：启程——深夜服务器的红灯

> *Chapter 1: Setting Off — The Red Light at Midnight*

凌晨 03:17，城市的灯火已经开始稀疏。在城东某栋写字楼的 14 层，年轻的运维工程师小李的手机突然炸响——不是普通的通知音，而是企业微信群里被置顶的告警机器人发出的尖锐蜂鸣。

屏幕亮起的那一瞬，他的瞳孔骤然收缩：

``` [CRITICAL] [Disk Usage Alert] Host: prod-api-03 Mount: / Usage: 100% (used=48.2G of 48.2G) Service: api-gateway (DOWN) Time: 2024-06-15 03:17:22 ```

磁盘 100% 满载，API 网关宕机，整个订单系统停摆。这意味着每分钟都有用户在支付失败，每分钟都有 GMV 流失。小李从床上翻身坐起，赤脚踩在地板上打开了笔记本。

他没有打开任何图形化监控大屏，也没有去翻 SSH 客户端那些精心设计的图形界面。他把终端窗口拉到全屏，深吸一口气，在命令行提示符后敲下了第一个字符：

```bash ssh prod-api-03 ```

这是每一个 Shell 工匠的"出生时刻"——在真实的危机面前，所有花哨的工具都会退场，唯有命令行是唯一可信的、与机器直面的语言。本章将完整还原小李在那个凌晨 03:17 到 04:42 之间所做的一切，并通过这个故事，带你建立对 Shell 的第一份系统性认知。

1.1 危机本身就是最好的老师

小李面对的，是 Linux 系统运维中最经典也最致命的故障之一：磁盘耗尽导致的服务停摆。这类故障有几个特点：它不依赖任何复杂的知识背景，初学者也能定位；但它的每一步排查都蕴含着 Shell 思维的核心——用最小的命令组合，获取最大的信息密度。

为什么是命令行而不是图形界面？

小李后来在事后复盘时写道：

> "那一刻我其实也可以登录 Grafana 大盘，但大盘需要 30 秒才能加载完图表，而且它只显示'磁盘满'。我需要的是'磁盘为什么满'、'哪些目录占用最大'、'哪些文件可以安全删除'——这些问题只有命令行能在几秒内回答。"

这就是 Shell 的真正价值：它不是一个"花哨的老派工具"，而是Linux 哲学的具象化。在后续章节中我们会反复回到这个主题——组合小工具、追求数据透明、用文本流串起一切。

那么，小李在那个午夜究竟敲下了哪些命令？让我们一步步回放。

1.2 Shell 的演化简史：从 V6 到 Zsh

在跟随小李的命令之前，我们需要先理解一件事：当你在终端敲下 `ls` 并按下回车时，这中间到底发生了什么？

这看似简单的问题，却藏着 Shell 数十年的演化史。

1.2.1 一切的开始：Thompson Shell (1971)

`ls` 这个命令，并不是操作系统的"内置功能"。它是由一个叫做 Shell 的程序负责查找、执行并返回结果的。Shell（壳）的名字非常贴切——它包裹在内核（Kernel）之外，是用户与内核之间的一层接口。

最早的 Shell 是 Ken Thompson 在 Unix V6 中编写的 Thompson Shell（也叫 V6 Shell）。它非常简陋，只支持几条基本的命令语法，没有管道、没有重定向、没有脚本能力。但它确立了一个影响至今的设计原则：用户输入命令，Shell 负责调度，内核负责执行。

1.2.2 Bourne Shell 的奠基（1977）

1977 年，Stephen Bourne 在贝尔实验室开发了 Bourne Shell（sh），它带来了几个革命性的特性：

• 强大的脚本编程能力（变量、控制流、函数）
• **I/O 重定向**（`>`, `<`, `>>`）
• **管道**（`|`）——这可能是 Shell 历史上最伟大的发明
• 通配符（glob pattern）

你可以把它想象成一条流水线：每个命令都是一个小工厂，管道就是工厂之间的传送带。数据从左往右流动，每一站都被加工一次。这意味着你可以用最简单的小命令，组合出无比强大的能力——这就是 Unix 哲学的精髓。

1.2.3 C Shell 与 Korn Shell：两座分支

到 1980 年代，两个重要的 Shell 分支出现：

• **C Shell（csh）**：Bill Joy 在 BSD 上开发，语法模仿 C 语言，深受程序员欢迎，但脚本能力被批评
• **Korn Shell（ksh）**：David Korn 在贝尔实验室开发，兼容 sh 的同时加入了大量现代特性

1.2.4 Bash：Bourne Again Shell，Linux 的事实标准（1989）

1989 年，Brian Fox 为了 GNU 计划开发了 Bash（Bourne Again Shell）——名字一语双关，既是"Bourne 的重生"，也是"Born again"的谐音。

Bash 在保持 sh 兼容的基础上，加入了：

• 命令历史（history）与命令补全（tab completion）
• 别名（alias）
• 数组变量
• 作业控制（job control）

今天，几乎所有 Linux 发行版默认 Shell 都是 Bash。当你通过 SSH 登录一台陌生的服务器时，那个闪烁的光标背后，大概率是 Bash 在等你敲下命令。

1.2.5 Zsh 与 Fish：现代化的尝试

进入 2010 年代，两个新 Shell 走红：

• **Zsh**：兼容 Bash，但提供了更智能的补全、拼写纠正、插件生态（Oh My Zsh 是最流行的框架）
• **Fish**：彻底颠覆传统 Shell 的语法（基于配置而非脚本），强调开箱即用

小李那天登录的服务器，shell 是 `/bin/bash`。它的提示符长这样：

``` [li@prod-api-03 ~]$ ```

这一串字符，每一段都有含义。理解它，是你成为 Shell 工匠的第一课。

1.3 终端、Shell、控制台：三个绕不开的概念

让我们暂时脱离小李的故事，建立几个基础但经常被混淆的概念。

1.3.1 Terminal：终端，物理世界的历史遗物

Terminal（终端） 这个词最初指物理设备——电传打字机（TeleTYpewriter，简称 TTY）。在大型机时代，用户通过键盘输入字符，打印机或屏幕返回结果。每一个终端都通过串口线连到主机，主机把每个终端看作一个独立的字符流。

今天我们说"打开一个终端"，其实是在启动一个终端模拟器（Terminal Emulator），比如 macOS 的 Terminal.app、Linux 上的 GNOME Terminal、Windows 上的 Windows Terminal。它们在功能上完全模拟了当年的 TTY：接收键盘输入，显示字符输出。

1.3.2 Shell：壳层，命令的解释器

Shell 是一个程序，它运行在终端里，负责把用户输入的文字解析成操作系统能理解的指令。最常见的 Shell 是 `/bin/bash`。你可以通过以下命令查看当前 Shell：

```bash echo $SHELL ```

也可以临时切换到其它 Shell：

```bash /bin/zsh /bin/dash ```

在 macOS 上，新版系统的默认 Shell 已经从 Bash 切换到了 Zsh（版本 10.15 Catalina 起）。这是因为 Bash 3.x 是 Apple 最后授权的 GPL 版本，而 Zsh 采用更宽松的许可证。

1.3.3 Console：控制台，系统自带的"超级终端"

Console（控制台） 是一个系统管理员级别的特殊终端。在 Linux 上，你可以通过按下 `Ctrl+Alt+F1` 到 `Ctrl+Alt+F7` 切换到不同的虚拟控制台，这些控制台不经过图形界面，直接连接到系统的内核消息流。当系统崩溃到图形界面都加载不出来时，Console 是你唯一的朋友。

三者的关系可以这样总结：

• **Terminal（物理设备）**：负责把键盘按键变成字节流，把字节流渲染成屏幕上的字符
• **Shell（解释器）**：负责把字节流解析成"我要执行哪个程序、传什么参数"
• **Console（系统级接口）**：负责在所有正常路径失效时，给你最后一条与机器对话的线路

1.3.4 一个完整的命令行调用示例

让我们用小李敲下的 `df -h` 来走一遍完整的流程。

```bash [li@prod-api-03 ~]$ df -h ```

这一行字符在被处理时，经历了七个阶段：

```mermaid flowchart TD A[User presses keys in Terminal] --> B[Terminal sends bytes to PTY] B --> C[Kernel TTY layer receives bytes] C --> D[Bash reads from stdin into input buffer] D --> E[Bash lexer parses command line into tokens] E --> F[Bash checks aliases, functions, then PATH lookup] F --> G[Kernel execve replaces Bash with df process] G --> H[Kernel routes syscalls to VFS layer] H --> I[statfs syscall returns filesystem info] I --> J[df process formats and prints results] J --> K[Bash captures child stdout via pipe] K --> L[Terminal renders bytes on screen] ```

这张图展示了 Shell 命令执行的"调用链"。对初学者来说，它揭示了一个反直觉的事实：你看到的字符并不是 Bash 输出的，而是执行完的子进程（这里是 `df`）输出后，被 Bash 重新捕获，再写回终端的。

1.4 提示符的秘密：读懂系统对你的自我介绍

```bash [li@prod-api-03 ~]$ ```

这一行并不是装饰。每一个字符都承载着上下文信息。

1.4.1 用户名与主机名

`li@prod-api-03` 表示当前登录用户是 `li`，主机名是 `prod-api-03`。这是系统防止误操作的第一道防线——如果你正在 root 操作一台数据库服务器，提示符会显示成：

```bash [root@db-master ~]# ```

注意结尾的 `$` 和 `#`：

• `$`：普通用户提示符
• `#`：root 用户的提示符

一个老练的运维在按下回车前，会先用眼角余光扫一眼提示符的 `#` 还是 `$`。这是肌肉记忆。

1.4.2 当前路径

`~` 是当前用户的家目录（home directory）的简写。对 `li` 这个用户来说，`~` 通常对应 `/home/li`。

当小李需要切换到根分区调查问题时，他会敲：

```bash cd / ```

提示符会立刻变成：

```bash [li@prod-api-03 /]$ ```

路径的解读在后续章节会深入展开。现在你只需要知道：Shell 始终知道你在哪——这是它赋予你的"位置感"。

1.4.3 自定义提示符

高手会自定义自己的提示符。修改 `~/.bashrc`，加入：

```bash export PS1='[\u@\h \W]\$ ' ```

`\u` 是用户名，`\h` 是主机名，`\W` 是当前目录的 basename（不是完整路径）。这种简短的提示符在远程登录、权限切换时尤其清晰。

也有进阶用户喜欢把 Git 分支、当前时间、上一条命令的退出码塞进提示符：

```bash export PS1='\t [\u@\h:\W]\$ ' ```

加一个 `\t`（当前时间），你就能随时看到每条命令的执行时刻。

1.5 救命命令清单：凌晨 03:17 必须能脱口而出的 10 个命令

让我们回到午夜。登录服务器后，小李开始了一场教科书般的故障排查。本节列出他用到的10 个核心命令，每一个都附上完整解释和真实使用场景。

1.5.1 `df`——查看磁盘总览

```bash df -h ```

输出示例：

``` Filesystem Size Used Avail Use% Mounted on /dev/sda1 48G 48G 0 100% / tmpfs 3.9G 0 3.9G 0% /dev/shm /dev/sda2 200G 12G 188G 6% /data ```

`-h` 参数的意思是 `--human-readable`，让数字以 KB/MB/GB 显示，而不是默认的 1024 字节块。

关键判读：

• `Use%` 列：百分比已满的挂载点就是问题所在
• `Mounted on` 列：找到挂载在 `/`（根分区）的那一行，就能确认告警信息无误

小李看到 `/dev/sda1` 已经 100%，根分区爆满，告警被证实。

1.5.2 `du`——找出谁占用了空间

`df` 告诉你"满了"，但 `du` 告诉你"是谁满的"。

```bash du -sh /* ```

`s` 表示汇总（summarize），`h` 表示人类可读。这条命令会列出根目录下每个一级目录的总大小：

``` 1.2G /bin 8.5M /boot 4.0K /dev 28M /etc 12G /home 8.3G /var ... ```

输出需要几秒（甚至几十秒，取决于磁盘大小）。小李看到 `/var` 占用了 8.3G，立刻警觉——日志、缓存、临时文件大多在 `/var` 下。

1.5.3 排序与筛选：`sort` 与 `head`

但 `du` 默认是按路径字母排序的，对找"占空间最大的目录"毫无帮助。我们需要管道（后面会详细讲）：

```bash du -sh /* 2>/dev/null | sort -hr | head -10 ```

• `sort -h`：人类可读的数值排序（`-h` 是 `--human-numeric-sort`），`-r` 反向，最大在前
• `head -10`：取前 10 行

输出可能长这样：

``` 8.3G /var 1.2G /usr 920M /home/li/.cache ... ```

小李发现 `/var` 是头号嫌疑，于是进一步深入：

```bash du -sh /var/* | sort -hr | head -5 ```

``` 7.8G /var/log 210M /var/cache 80M /var/lib ... ```

`/var/log`——日志目录——占用了 7.8G。这就是元凶。

1.5.4 `find`：精确打击特定文件

```bash find /var/log -type f -name "*.log" -size +100M ```

• `-type f`：只查找文件（不进入目录）
• `-name "*.log"`：通配符匹配
• `-size +100M`：大于 100MB 的文件

输出可能列出几十个旧的 application 日志、access 日志、debug 日志。

1.5.5 安全删除：30 天前的日志

但小李并不想现在就删所有 `.log`——线上事故排查可能还需要最新日志。他采用了更稳妥的策略：删除 30 天前的所有日志文件。

```bash find /var/log -type f -name "*.log" -mtime +30 ```

`-mtime +30` 的意思是"修改时间在 30 天前"（不含当天）。这条命令只会打印符合条件文件的路径，不会删除任何东西。这是非常重要的工作原则：先用 find 看，再决定怎么删。

确认无误后，他使用了 `xargs` 配合 `rm`：

```bash find /var/log -type f -name "*.log" -mtime +30 -print0 | xargs -0 rm -f ```

• `-print0`：用 NULL 字符分隔文件名（防止文件名包含空格）
• `xargs -0`：对应地以 NULL 分割
• `rm -f`：强制删除，不提示

但更现代、更安全的做法是用 `find` 自带的 `-delete`：

```bash find /var/log -type f -name "*.log" -mtime +30 -delete ```

`xargs` 的魅力后面会讲。这里先用 `find -delete`，因为它已经足够清晰。

1.5.6 `free`——内存真相

磁盘问题确认后，小李顺手确认内存也无异常：

```bash free -h ```

``` total used free shared buff/cache available Mem: 7.6G 2.1G 1.2G 180M 4.3G 5.1G Swap: 2.0G 0.0G 2.0G ```

关键看 `available` 列，而不是 `free` 列。因为 Linux 内核会占用空闲内存作为缓存（buff/cache），这部分在需要时可以被回收。

1.5.7 `top`——实时进程监控

```bash top ```

`top` 是经典的交互式进程监控工具。它每 3 秒刷新一次（可配置），按 CPU 占用率排序显示所有进程。

但更现代的